SBOM风险预警 | 恶意NPM组件开展木马投毒攻击，目的针对国内泛互企业

SBOM谍报概述
克日（2025.03.17 ~ 2025.03.19），悬镜供应链安全谍报中央在NPM官方堆栈（www.npmjs.com）中捕捉多起针对Windows和Linux平台NPM开辟者开展敏感信息偷取及恶意木马投放的供应链投毒变乱。攻击者（tt2579）在NPM官方源上连续投放4款恶意组件（包罗momo-lib、migu-lib、migu-utils、cmft-utils），共涉及22个差别版本。连合该系列组件包名称以及高版本号等特性，推测攻击者实行针对国内泛互联网企业（陌陌、咪咕、中移金科等）开展组件包依赖肴杂攻击。这些恶意组件会利用代码肴杂和沙箱情况辨认来举行安全检测对抗，在组件安装过程中会静默实行投毒代码，除了偷取体系敏感信息之外，还负责长途下载或本地开释并实行恶意木马步伐。
停止如今，这些恶意组件仍正常托管在NPM官方堆栈及国内各大主流镜像源，对于NPM开辟者以及埋伏目的企业来说都存在较大安全隐患。悬镜安全已于第一时间将该系列恶意投毒包的详细技能分析向XSBOM供应链安全谍报订阅用户举行推送预警。

恶意组件列表

根据NPM官方接口统计，该系列恶意组件近一周下载量高出1400次。

恶意组件周下载量

投毒分析
以 migu-lib 组件包为例，该组件包名推测为咪咕（migu）公司内部开辟包，如今投毒者已连续发布8个差别版本，近一周下载量高出700次。在最新版本（9.10.08）中，其焦点恶意代码被肴杂掩护。一旦安装该恶意包，肴杂恶意代码将网络体系信息并植入Windows木马步伐到受害者体系中。

migu-lib恶意包主页

１.安全对抗
组件 package.json 中通过 postinstall 指令实现组件安装过程中实行 node index.js 下令，别的 index.js 文件除了举行通例代码肴杂掩护外，恶意代码实行时也会举行沙箱情况检测和文件自删除等本领来对抗安全检测。

投毒组件恶意代码主模块

index.js 文件肴杂代码还原后如下所示，其紧张逻辑是先调用 isSafeEnvironment() 函数检测体系进程中是否存在sandbox沙箱相干的进程，如果不存在则启动定时器，每隔5秒网络外传体系信息及投放实行木马步伐。

index.js 肴杂代码还原

２.体系信息外传
collectSystemInfo() 函数负责网络体系版本、体系用户、主机名、工作目次、网络信息等数据后，调用 reportData()  函数将体系信息通过 HTTP 方式 POST 发送到攻击者服务器上（http://149.104.26.89/api/collect）。

体系信息网络及偷取

３.恶意木马投放
deployPayload() 函数负责恶意木马步伐投放实行利用，如果当前体系是Windows体系，则从攻击者服务器上下载木马步伐（http://149.104.26.89/cmd.dat）到体系暂时目次伪装成cmd.exe并实行。

木马步伐下载实行

如果目的体系是Linux体系，则将内嵌在index.js文件中的base64编码的ELF木马步伐解码开释到体系暂时目次下，并伪装成bash步伐实行。如下图所示赤色方框部门为内嵌在index.js文件中的恶意ELF木马步伐base64编码数据。

恶意EXE步伐base64编码数据

如下图所示，Windows体系EXE木马步伐及Linux体系ELF木马步伐在VirusTotal上都被多款杀软引擎检出为恶意木马。

Windows恶意EXE木马步伐检测效果

Linux恶意ELF木马步伐检测效果

４.IoC 数据
本次捕捉的NPM投毒组件包涉及的IoC数据如下表所示：

排查方式
以 migu-lib 恶意组件为例，开辟者可通过下令 npm list migu-lib 在项目目次下利用查询是否已安装存在恶意投毒的组件版本，如果已安装请立纵然用 npm uninstall migu-lib 举行卸载。别的还需关闭体系网络并排查体系是否存在非常进程。
别的，也可利用 OpenSCA-cli 工具将受影响的组件包按如下示例生存为db.json文件，直接实行扫描下令（opensca-cli -db db.json -path ${project_path}），即可快速获知您的项目是否受到投毒包影响。[   

2.   {         "product": "momo-lib",         "version": "[0.0.10]",         "language": "javascript",         "id": "XMIRROR-MAL45-D3D19312",         "description": "恶意NPM组件窃取系统信息及投放木马程序",         "release_date": "2025-03-17"     },  {         "product": "cmft-utils",         "version": "[0.0.99, 0.99.99, 1.0.5, 1.0.98, 1.98.98, 9.98.98]",         "language": "javascript",         "id": "XMIRROR-MAL45-FAE53422",         "description": "恶意NPM组件窃取系统信息及投放木马程序",         "release_date": "2025-03-17"     },  {         "product": "migu-lib",         "version": "[0.0.11, 0.0.98, 1.0.2, 1.0.3, 1.0.98, 1.1.98, 1.2.98, 9.10.98]",         "language": "javascript",         "id": "XMIRROR-MAL45-1383E426",         "description": "恶意NPM组件窃取系统信息及投放木马程序",         "release_date": "2025-03-17"     },  {         "product": "migu-utils",         "version": "[0.0.98, 0.9.98, 1.9.98, 2.3.98, 2.4.98, 2.9.98, 9.9.98]",         "language": "javascript",         "id": "XMIRROR-MAL45-7AA9AB83",         "description": "恶意NPM组件窃取系统信息及投放木马程序",         "release_date": "2025-03-19"     }]

复制代码

悬镜供应链安全谍报中央是国内首个数字供应链安全谍报研究中央。依托悬镜安全团队强盛的供应链SBOM管理与监测本领和AI安全大数据云端分析本领，悬镜云脉XSBOM数字供应链安全谍报预警服务通过对环球数字供应链投毒谍报、弊端谍报、停服断供谍报等举行实时动态监测与溯源分析，可为用户智能精准预警“与我有关”的数字供应链安全谍报，提供谍报查询、谍报订阅、可视化关联分析等企业级服务。

---

如今，公司自主研发环球范围内原创专利级“多模态SCA+DevSecOps+SBOM谍报预警”的第四代DevSecOps数字供应链安全管理体系，将源鉴SCA、灵脉IAST、灵脉AI、云鲨RASP等灵敏安全技能工具举行深度联动，在DevSecOps灵敏安全体系创建、数字供应链安全查察、开源供应链安全管理和云原生安全体系创建四大典范应用场景下，为用户构筑顺应自身业务弹性发展、面向灵敏业务交付并引领未来架构演进的内生积极防御体系。